Katalog podatności CVE

Yshopmall do wersji 2.0.0 zawiera podatność niezabezpieczonego odwołania do obiektu (IDOR) w API obsługi posprzedażowej, która pozwala uwierzytelnionym członkom na dostęp do danych innych członków poprzez podanie ich identyfikatora posprzedażowego i orderCode. Atakujący mogą wywoływać deleteAfterSalesOrder, addLogisticsInformation lub GET /applyForAfterSales/{key}, aby przeglądać pozycje zamówień innych członków oraz modyfikować lub usuwać ich rekordy posprzedażowe.

WorkFlow-Engine do wersji 9.6.11 zawiera podatność braku autoryzacji, która pozwala uwierzytelnionym użytkownikom na zakończenie lub ponowne przypisanie zadań workflow innych użytkowników poprzez endpointy /vue/buttonOperation. Atakujący z niskimi uprawnieniami mogą podać znany taskId do handlerów complete, completeTask lub reAssign, aby zatwierdzać zadania lub przypisywać je bez uprawnień.

SmartAdmin w wersjach do 3.30.0 zawiera podatność braku autoryzacji w kontrolerze AdminProtectController, umożliwiającą uwierzytelnionym pracownikom o niskich uprawnieniach modyfikację systemowych ustawień ochrony poziomu 3. Atakujący mogą wywoływać nieoznaczone endpointy updateConfig i loginFail batchDelete, aby wyłączyć blokadę logowania i logowanie dwuskładnikowe, osłabić zasady haseł oraz wyczyścić rekordy blokad.

FJ-OMS oms-erp (wersje do PRE) zawiera podatność braku uwierzytelnienia w module skyer-goods, umożliwiającą nieuwierzytelnionym atakującym usuwanie i przebudowę indeksów wyszukiwania produktów przez publiczne endpointy es-test. Powtarzane żądania do /v1/goods/sku/es-test mogą opróżnić wspólny indeks goods_sku_index_01 dla wszystkich dzierżawców, co wymusza pełne przeładowania tabeli i obniża dostępność wyszukiwania.

PublicCMS (wersje do V6.202608.a) zawiera podatność niebezpiecznego bezpośredniego odwołania do obiektu (IDOR) w metodzie tradeAddress/save kontrolera TradeAddressController, umożliwiającą uwierzytelnionym członkom modyfikację adresów dostawy innych użytkowników. Atakujący mogą przesłać sekwencyjny numeryczny identyfikator adresu innej osoby i nadpisać jej dane odbiorcy, telefon i adres, ponieważ własność nie jest weryfikowana.

JetLinks Community (wersje do 2.10.0) zawiera podatność braku autoryzacji, która umożliwia użytkownikom z dostępem tylko do odczytu włączanie lub wyłączanie dowolnej konfiguracji alarmów. Endpointy _enable i _disable w kontrolerze AlarmConfigController nie mają adnotacji save action, więc atakujący mogą przełączać alarmy po ID, aby wyciszyć powiadomienia dla monitorowanych urządzeń.

JetLinks Community (wersje do 2.10.0) zawiera podatność braku autoryzacji, która umożliwia użytkownikom z tylko dostępem do odczytu do transparent-codec nadpisywanie kodeków produktów przez POST /device/transparent-codec/{productId}. Ponieważ endpoint nie ma adnotacji @SaveAction, atakujący mogą zapisać dowolnych dostawców kodeków i konfiguracje, kontrolując sposób dekodowania i kodowania wiadomości przesyłanych dla wszystkich urządzeń danego produktu.

RuoYi-Cloud-Plus (wersje do 6.0.0) zawiera podatność niebezpiecznego bezpośredniego odwołania do obiektu (IDOR), która umożliwia uwierzytelnionym użytkownikom usuwanie powiązań logowania społecznościowego innych użytkowników przez podanie ich socialId. Atakujący może wysłać żądanie DELETE /auth/unlock/{socialId}, które usuwa wiersze sys_social na podstawie klucza głównego bez weryfikacji własności, usuwając tokeny OAuth ofiary i blokując logowanie społecznościowe.

RuoYi-Vue-Plus (wersje do 6.0.0) zawiera podatność niebezpiecznego bezpośredniego odwołania do obiektu (IDOR), która umożliwia uwierzytelnionym użytkownikom usuwanie powiązań logowania społecznościowego innych użytkowników przez podanie ich socialId. Atakujący może wysłać żądanie DELETE /auth/unlock/{socialId} z identyfikatorem powiązania ofiary, aby usunąć powiązania GitHub, WeChat lub Gitee oraz przechowywane tokeny OAuth, blokując logowanie społecznościowe.

B3log Symphony (wersje do 3.6.4) zawiera podatność braku autoryzacji, która umożliwia nieuwierzytelnionym atakującym dostęp do tras administratora, ponieważ PermissionMidware.check przepuszcza trasy bez wpisu w permission.rule.url. Atakujący mogą żądać /admin/report/ignore/{reportId}, /admin/tags/remove-unused lub /admin/user/{userId}/init-point, aby ignorować raporty, usuwać nieużywane tagi lub przyznawać punkty bez rejestrowania audytu.

Xxyopen novel (wersje do 3.5.0) zawiera podatność słabego haszowania haseł, która umożliwia atakującym odzyskanie haseł w postaci jawnej, ponieważ UserServiceImpl.register() przechowuje niesolone skróty MD5 w polu user_info.password. Osoba atakująca, która uzyska kolumnę haseł przez wyciek bazy danych lub udostępnienie kopii zapasowej, może złamać hasła za pomocą prekomputowanych tabel lub brute force na GPU, a następnie wykorzystać dane uwierzytelniające.

bbs-go (wersje do 4.4.6) zawiera podatność trwałego skryptowania między witrynami (stored XSS), która umożliwia uwierzytelnionym użytkownikom przesyłanie plików HTML lub SVG przez fałszowanie typu multipart Content-Type w POST /api/upload. Atakujący mogą przesyłać dokumenty ze skryptami, które są serwowane inline z /res, a następnie wysyłać ich URL administratorom, co powoduje wykonanie skryptu w kontekście domeny forum.

Koillection w wersji do 1.8.4 zawiera podatność typu stored XSS. Uwierzytelnieni użytkownicy mogą przesyłać pliki HTML jako załączniki bez ograniczeń MIME, a pliki te są serwowane jako text/html z katalogu public/uploads, co pozwala na wykonanie JavaScriptu w sesji ofiary.

Jorani w wersji przed 1.0.4 zawiera podatność braku autoryzacji w metodzie Contracts::import(), która pozwala każdemu uwierzytelnionemu użytkownikowi importować dni wolne do dowolnego kontraktu z zewnętrznego URL. Atakujący może przesłać identyfikator kontraktu i URL przez POST, aby nadpisać kalendarze dni roboczych oraz wykorzystać get_headers() i fopen() do ataku SSRF na wewnętrzne hosty.

Jorani w wersji przed 1.0.4 zawiera podatność braku autoryzacji w akcjach exportLeaves, exportOvertime i exportEmployees kontrolera Hr, pozwalając każdemu uwierzytelnionemu użytkownikowi na eksport danych HR. Atakujący może wywołać hr/exportEmployees lub hr/exportLeaves/{id} i hr/exportOvertime/{id}, aby pobrać dane pracowników, w tym nazwiska, e-maile, kontrakty, przełożonych oraz rekordy urlopów i nadgodzin.

Jorani w wersji przed 1.0.4 zawiera podatność typu insecure direct object reference, która pozwala uwierzytelnionym użytkownikom modyfikować, usuwać i przeglądać wnioski innych pracowników, ponieważ autoryzacja opiera się tylko na nazwie operacji. Atakujący może podać numeryczne identyfikatory wniosków do Leaves::edit(), Extra::edit(), Leaves::delete(), Extra::delete() i Leaves::history(), aby manipulować wnioskami o urlopy i nadgodziny oraz czytać historię urlopów.

Luka w Portal for ArcGIS może pozwolić na wstrzyknięcie LDAP poprzez funkcjonalność administracyjną, która konstruuje zapytania wyszukiwania Active Directory lub LDAP bez wystarczającej neutralizacji danych wejściowych. Uwierzytelniony administrator może dostarczyć spreparowane dane wejściowe, które modyfikują zamierzone zapytanie LDAP i powodują nieoczekiwane operacje w katalogu.

Wtyczka WP Event Solution do WordPressa zawiera podatność braku autoryzacji, która pozwala na wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji od n/a do 4.1.25.

Wtyczka Download Monitor integration for WooCommerce zawiera podatność braku autoryzacji, która pozwala na wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji od n/a do 1.0.3.

Wtyczka Premium Addons for Elementor zawiera podatność braku autoryzacji, która pozwala na wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji od n/a do 4.11.110.